Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%TEMP%\69678635\GCWSUH~1.EXE %TEMP%\69678635\dntwr.oic'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'appgfx' = '%APPDATA%\appgfx\appgfx.exe'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\Software\RimArts\B2\Settings]
- [<HKCU>\SOFTWARE\Martin Prikryl\WinSCP 2\Sessions]
- [<HKCU>\Software\FTPWare\COREFTP\Sites]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\thunderbird\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\69678635\vbuwvwfhru.pdf
- %TEMP%\69678635\pkgavgs.dll
- %TEMP%\69678635\cneuhnbk.docx
- %TEMP%\69678635\gwvx.jpg
- %TEMP%\69678635\geam.msc
- %TEMP%\69678635\vgehlech.log
- %TEMP%\69678635\itmsim.msc
- %TEMP%\69678635\klnmfgabsw.ico
- %TEMP%\69678635\nnpwfv.bin
- %TEMP%\69678635\kwbt.pdf
- %TEMP%\69678635\dbqp.dll
- %TEMP%\69678635\pbppdlht.bin
- %TEMP%\69678635\jjcvjbi.xl
- %TEMP%\69678635\fvoar.msc
- %TEMP%\69678635\cnkdks.pdf
- %TEMP%\69678635\upkdcqjeq.ppt
- %TEMP%\69678635\dufvuggt.log
- %TEMP%\69678635\qbrvpb.xls
- %TEMP%\69678635\lrgehrt.jpg
- %TEMP%\69678635\cutbrmvt.docx
- %TEMP%\69678635\upkmf.txt
- %TEMP%\69678635\jcbouao.icm
- %TEMP%\69678635\srgmhaknlj.bin
- %TEMP%\69678635\rhbnrx.docx
- %HOMEPATH%\temp\vbuwvwfhru.pdf
- %APPDATA%\appgfx\appgfx.exe
- %APPDATA%\0ijr3uas.s2v\chrome\default\cookies
- %APPDATA%\0ijr3uas.s2v\opera\cookies
- %APPDATA%\0ijr3uas.s2v\firefox\profiles\22ie2h77.default\cookies.sqlite
- %TEMP%\69678635\vcjhikesi.mp3
- %TEMP%\69678635\soag.xml
- %TEMP%\69678635\enhj.dat
- %TEMP%\69678635\qeljqaap.cpl
- %TEMP%\69678635\twiwj.dll
- %TEMP%\69678635\gcwsuhomk.exe
- %TEMP%\69678635\uhcrsuwi.dat
- %TEMP%\69678635\qxsjm.xls
- %TEMP%\69678635\wpfjjkbbom.ini
- %TEMP%\69678635\hfljjdnkg.ico
- %TEMP%\69678635\wika.dll
- %TEMP%\69678635\wichjh.icm
- %TEMP%\69678635\qmhbir.ico
- %TEMP%\69678635\awdjchpjh.cpl
- %TEMP%\69678635\aithlaphsp.bin
- %TEMP%\69678635\mwwotkugk.msc
- %TEMP%\69678635\agqnvh.xl
- %TEMP%\69678635\stklctex.cpl
- %APPDATA%\0ijr3uas.s2v\thunderbird\profiles\cr5sc40q.default\cookies.sqlite
- %TEMP%\69678635\twghx.mp3
- %TEMP%\69678635\glbaelrelg.dll
- %TEMP%\69678635\cwqapnlies.pdf
- %TEMP%\69678635\uftlu.mp3
- %TEMP%\69678635\kmot.ini
- %TEMP%\69678635\svsstot.icm
- %TEMP%\69678635\puveic.txt
- %TEMP%\69678635\hjskecwe.dat
- %TEMP%\69678635\tevmfhk.bin
- %TEMP%\69678635\hgblca.ini
- %TEMP%\69678635\imklm.log
- %TEMP%\69678635\bnogwe.mp3
- %TEMP%\69678635\qofbtsofu.docx
- %TEMP%\69678635\wfcncdod.docx
- %TEMP%\69678635\vssixooq.dll
- %TEMP%\69678635\dntwr.oic
- %TEMP%\69678635\jvqgjsp.dat
- %APPDATA%\0ijr3uas.s2v.zip
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\69678635\gcwsuhomk.exe
Удаляет следующие файлы
- %APPDATA%\0ijr3uas.s2v\chrome\default\cookies
- %APPDATA%\0ijr3uas.s2v\firefox\profiles\22ie2h77.default\cookies.sqlite
- %APPDATA%\0ijr3uas.s2v\opera\cookies
- %APPDATA%\0ijr3uas.s2v\thunderbird\profiles\cr5sc40q.default\cookies.sqlite
- %APPDATA%\0ijr3uas.s2v.zip
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
UDP
- DNS ASK ch#####.amazonaws.com
- DNS ASK se######0.web-hosting.com
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\69678635\gcwsuhomk.exe' dntwr.oic
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe'
